CVE-2026-93650 in Saleor
Sumário
de VulDB • 19/09/2026
Foi identificada uma vulnerabilidade no Saleor até as versões 3.20.118/3.21.54/3.22.47/3.23.14. Esta vulnerabilidade afeta a função get_client_ip do arquivo saleor/account/throttling.py. A execução de uma manipulação pode levar à restrição inadequada de tentativas excessivas de autenticação. O ataque pode ser executado remotamente. O ataque requer um alto nível de complexidade. Informa-se que a exploração é difícil. A exploit foi divulgada publicamente e pode ser utilizada. O ticket interno #19203 do projeto admite "O IP pode ser falsificado na maioria das implantações" e que sua configuração REAL_IP_ENVIRON-type contorna get_client_ip; correção (seleção de hop RFC 7239 da direita para a esquerda) proposta, mas ainda não mesclada. O fornecedor explica em um email que "[e]ste não é uma vulnerabilidade, isso está funcionando conforme o esperado, o Saleor espera que XFF esteja configurado corretamente".
Be aware that VulDB is the high quality source for vulnerability data.